Inhaltsverzeichnis

SPAM-Abwehr mit Hilfe von Greylisting

Ein auf SPAM-Versand optimiertes System, wird in aller Regel sehr viel daran gelegen sein, möglichst eine große Anzahl von Nachrichten in möglichst kürzester Zeit zu verschicken. Jede Verzögerung beim SPAM-Versand wird sich äußerst ungünstig auf die Erfolgsquote des Versenders auswirken. Hintergrund beim Thema greylisting ist nun, unbekannte Einlieferer mit einem temporären Fehler abzuweisen und so eine erneute erstmalige Zeitverzögerung zu erzwingen. Vergleichbar mit einer belegten Rufnummer bei einem Faksimilegerät.

Lediglich der aus den einschlägigen BSI1) verschickten SPAMs lässt sich so nicht beikommen. Hier kann aber mit dem policyd-weight ein weiteres wichtiges Werkzeug in die Waagschale geworfen werden.

Beides, greylisting wie auch policyd-weight setzen auf das PDP2) von Postfix auf. Mit Hilfe des Policy Delegation Protocols besitzt Postfix eine mächtige Schnittstelle, an der u.a. die wichtigsten Merkmale einer angebotenen eMail an eine externe Instanz zur Prüfung und Bewertung weitergegeben wird und anschließend darüber eine Entscheidung mitgeteilt bekommt, was mit der eMail passieren soll.

Für den ersten groben SPAM-Schutz setzen wir auf greylisting-Mechanismen. Greylisting macht es sich zu eigen, das unterschiedliche Verhalten von SPAMern und richtigen Mailservern zu betrachten. Beim greylisting werden folgende vier Schritte durchlaufen bzw. bewertet:

  1. Der MTA bewertet die drei folgenden technischen Eckdaten eines Zustellversuches, nachdem das einlieferndes System sein RCPT TO: abgesetzt hat:
    • Absender-IP-Adresse
    • eMail-Adresse des Absenders
    • eMail-Adresse des Empfängers
  2. Das Tripple aus IP-Adresse, Sender- und Empfänger-eMail-Adresse speichert der MTA nun in einer separaten Berkley-DB ab. Ist dieses Tripple neu, d.h. es wurde noch keine eMail von dem Absender an unseren Empfänger von diesem Mailserver eingeliefert, wird diue Annahme erst einmal mit einem temporärer Fehler 4xx abgeweisen.
  3. Ist der einliefernde Host ein SPAMer wird er die Nachricht verwerfen und sein Glück bei anderen weniger geschützten MTTAs versuchen. Ein richtiger Mailserver wird seine eMail in die deferred-Queue einstellen und nach wenigen Minuten einen erneuten Zustellversuch unternehmen.
  4. Kommt der einliefernde Mailserver erneut, wird nun das Tripple aus IP-Adresse, Sender- und Empfänger-eMail-Adresse positiv bewertet und unser MTA wird mit der weiteren Prüfung und Bewertung der eMail fortfahren. Ob und wann ein erneuter Zustellversuch unternommen wird, hängt einzig und allein vom Versender ab.

postgrey Installation

Für das Thema greylisting greifen wir auf das Paket postgrey von David Schweikert aus dem rpmforge-Repository, genauer gesagt dem Dag Apt Repository von Dag Wieers zurück.

Wir installieren also zu erst einmal das betreffende Paket mit Hilfe von YUM. 

 # yum install postgrey -y

postfix Konfiguration

Eigentlich muss man nicht postgrey sondern postfix konfigurieren.

Wir fügen also in unsere /etc/postfix/main.cf folgende Option nach # RBL überprüfen (Kapitel 10.11 Realtime Blackhole Lists) ein: 

...
# RBL überprüfen (Kapitel 10.11 Realtime Blackhole Lists)
        reject_rbl_client zen.spamhaus.org,
        reject_rbl_client ix.dnsbl.manitu.net,
        reject_rbl_client bl.spamcop.net,
        reject_rbl_client dnsbl.njabl.org,
        reject_rhsbl_client multi.uribl.com,
# Greylisting via postgrey checken via Unix-Socket      (Kapitel 9.2.5 postgrey installieren)
        check_policy_service unix:postgrey/socket,
 
# Dynamische Prüfung auf existente Relay-Empfänger      (Kapitel 12.2.2 Dynamische Empfänger-Verifizierung)
...

postgrey starten

Beim vorliegenden postgrey-RPM ist neben der Festlegung von User- und Dateirechten auch gleich ein passendes Startupscript installiert worden. Somit reicht ein einfaches service postgrey start aus: 

 # service postgrey start

Mit einem Blick in die Prozessliste können wir uns vergewissern, ob der daemon auch gestartet wurde: 

 # ps auxw | grep postgrey
postgrey 20808  0.0  0.7 157816 13360 ?        Ss   16:34   0:00 /usr/sbin/postgrey -d --unix=/var/spool/postfix/postgrey/socket

Selbstverständlich „verewigt“ sich postgrey auch im Logfile unseres Mailservers: 

Jun  8 16:34:03 vml000080 postgrey[20808]: Process Backgrounded
Jun  8 16:34:03 vml000080 postgrey[20808]: 2012/06/08-16:34:03 postgrey (type Net::Server::Multiplex) starting! pid(20808)
Jun  8 16:34:03 vml000080 postgrey[20808]: Using default listen value of 128
Jun  8 16:34:03 vml000080 postgrey[20808]: Binding to UNIX socket file /var/spool/postfix/postgrey/socket using SOCK_STREAM#012
Jun  8 16:34:03 vml000080 postgrey[20808]: Setting gid to "494 494"
Jun  8 16:34:03 vml000080 postgrey[20808]: Setting uid to "497"

automatisches Starten des Dienste beim Systemstart

Damit der postgrey-Daemon automatisch bei jedem Systemstart startet, denn ohne laufenden postgrey verweigert nun unser postfix die Annahme der Nachrichten, kann die Einrichtung des Start-Scripte über folgenden Befehle erreicht werden: 

 # chkconfig postgrey on

Die Überprüfungung ob die beiden Dienste (Daemons) postfix und postgrey wirklich bei jedem Systemstart automatisch mit gestartet werden, kann durch folgenden Befehle erreicht werden: 

 # chkconfig --list | grep post*
postfix        	0:off	1:off	2:on	3:on	4:on	5:on	6:off
postgrey       	0:off	1:off	2:on	3:on	4:on	5:on	6:off

Wichtig sind jeweils die Schalter on bei den Runleveln - 2 3 4 5.

postgrey Administration

Die Konfigurationsdateien rund um postgrey befinden sich im Verzeichnis /etc/postfix/: 

 # ll /etc/postfix/postgrey*
-rw-r--r-- 1 root root 8343 May  4  2011 /etc/postfix/postgrey_whitelist_clients
-rw-r--r-- 1 root root   75 Mar 15 09:53 /etc/postfix/postgrey_whitelist_clients.local
-rw-r--r-- 1 root root  194 Mar  7 15:54 /etc/postfix/postgrey_whitelist_recipients

Die Konfigurationsdateien im Verzeichnis /etc/postfix/ haben folgende Bedeutung bzw. werden für folgende Funktionen benötigt:

Nach Änderungen an den Postgrey Ausnahmelisten postgrey_whitelist_clients.local und postgrey_whitelist_recipients ist der Daemon von den Änderungen mit einem reload in Kenntnis zu setzen! 

 # service postgrey reload

erfolgreiches Greylisting

Am nachfolgenden Beispiel sehen wir, dass ein Connectversuch von einem uns unbekanntem Mailserver erst einmal mit einem 450er abgewiesen wird und später nocheinmal zugestellt werden soll. 

Oct 12 04:35:39 nss postfix/smtpd[16118]: connect from mail04.mytoys-mail.de[213.61.120.248]
Oct 12 04:35:41 nss postgrey[8228]: action=greylist, reason=new, client_name=mail04.mytoys-mail.de, client_address=213.61.120.248, sender=newsletter@mytoys-mail.de, recipient=wtlbrft@nausch.org 
Oct 12 04:35:41 nss postgrey[8228]: cleaning up old logs... 
Oct 12 04:35:41 nss postfix/smtpd[16118]: NOQUEUE: reject: RCPT from mail04.mytoys-mail.de[213.61.120.248]: 450 4.2.0 <wtlbrft@nausch.org>: Recipient address rejected: Greylisted, see http://postgrey.schweikert.ch/help/nausch.org.html; from=<newsletter@mytoys-mail.de> to=<wtlbrft@nausch.org> proto=ESMTP helo=<mail04.mytoys-mail.de>
Oct 12 04:35:41 nss postfix/smtpd[16118]: disconnect from mail04.mytoys-mail.de[213.61.120.248]

Beim nächsten Zustellversuch wird die eMail dann entsprechend akzeptiert: 

Oct 12 11:28:39 nss postfix/smtpd[21938]: connect from mail04.mytoys-mail.de[213.61.120.248]
Oct 12 11:28:41 nss postgrey[8228]: action=pass, reason=triplet found, delay=24780, client_name=mail04.mytoys-mail.de, client_address=213.61.120.248, sender=newsletter@mytoys-mail.de, recipient=wtlbrft@nausch.org 
Oct 12 11:28:41 nss postfix/smtpd[21938]: 4EA6476022D: client=mail04.mytoys-mail.de[213.61.120.248]
Oct 12 11:28:41 nss postfix/cleanup[21942]: 4EA6476022D: message-id=<200810120235.m9C2Zceo068208@mail04.mytoys-mail.de>
Oct 12 11:28:41 nss postfix/qmgr[8783]: 4EA6476022D: from=<newsletter@mytoys-mail.de>, size=80786, nrcpt=1 (queue active)
Oct 12 11:28:41 nss postfix/local[21943]: 4EA6476022D: to=<wtlbrft@nausch.org>, relay=local, delay=2.1, delays=2/0.02/0/0.06, dsn=2.0.0, status=sent (delivered to mailbox)
Oct 12 11:28:41 nss postfix/qmgr[8783]: 4EA6476022D: removed
Oct 12 11:31:13 nss postfix/smtpd[21938]: disconnect from mail04.mytoys-mail.de[213.61.120.248]

Links

1)
Botnet Spam IP-Ranges
2)
Policy Delegation Protocol